Ordinul nr. 75/2002

Prezentul model de cod de conduita are ca scop stabilirea unor norme de conduita pentru asigurarea unui nivel satisfăcător de protecție a datelor cu caracter personal prelucrate de către membrii asociațiilor profesionale.

Normele de conduita stabilesc exercitarea drepturilor și obligațiilor care revin membrilor asociațiilor profesionale în domeniul protecției persoanelor în privinta datelor cu caracter personal, în relațiile asociațiilor profesionale cu persoanele vizate (în calitate de beneficiari ai serviciilor prestate, de utilizatori etc.), cu alte asociații profesionale, precum și cu alte persoane fizice sau juridice care nu fac parte din asociațiile profesionale.

Prezentul model de cod de conduita se aplică indiferent de operațiunea prin care membrii asociațiilor profesionale prelucreaza datele cu caracter personal.

Normele cuprinse în prezentul model de cod de conduita nu aduc atingere altor obligații legale imperative sau deontologice care revin asociațiilor profesionale.

Prezentul model de cod de conduita conține norme de conduita aplicabile tuturor asociațiilor profesionale din România.

Definirea termenilor

Termenii folosiți în prezentul model de cod de conduita au următorul sens:

a) asociații profesionale - forme organizatorice ale entitatilor de drept privat constituite pe criterii profesionale;

b) persoana vizata - persoana fizica ale carei date cu caracter personal sunt prelucrate;

c) a colecta - a strânge, a aduna, a primi date cu caracter personal prin orice mijloace și din orice sursa;

d) a dezvălui - a transmite, a disemina, a face disponibile în orice alt mod date cu caracter personal, în afară operatorului;

e) a utiliza - a se folosi datele cu caracter personal de către și în interiorul operatorului;

f) consimțământ - acordul neviciat al persoanei vizate de a-i fi prelucrate datele cu caracter personal, care trebuie să fie întotdeauna expres și neechivoc;

g) nivel de protecție și de securitate adecvat al prelucrarilor de date cu caracter personal nivelul de securitate proporțional riscului, pe care îl comporta prelucrarea față de datele cu caracter personal respective și față de drepturile și libertățile persoanelor și conform cerințelor minime de securitate a prelucrarilor de date cu caracter personal, elaborate de autoritatea de supraveghere și actualizate corespunzător stadiului dezvoltării tehnologice și costurilor implementarii acestor măsuri;

h) marketing direct - promovarea produselor și a serviciilor, adresată direct clienților, persoane fizice, prin mijloace de genul poștei, inclusiv cea electronică, sau alte mijloace de marketing la distanta, altele decât modalitățile promotionale obișnuite (reclame).

Termeni precum: date cu caracter personal, prelucrarea datelor cu caracter personal, stocare, operator, terț, destinatar, date anonime, autoritate de supraveghere, dreptul de informare, dreptul de acces, dreptul de intervenție, dreptul de opoziție au sensurile definite de

Legea nr. 677/2001

pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, de

Legea nr. 676/2001

privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul telecomunicatiilor, precum și de

Legea nr. 682/2001

privind ratificarea Convenției pentru protejarea persoanelor față de prelucrarea automatizata a datelor cu caracter personal, adoptată la Strasbourg la 28 ianuarie 1981.

Adoptarea codurilor de conduita

Asociațiile profesionale vor elabora propriile coduri de conduita, cu respectarea principiilor din prezentul model de cod de conduita. Codurile de conduita vor conține norme adecvate care să reglementeze măsuri specifice domeniului de activitate al asociației respective, pentru aplicarea eficienta a principiilor din prezentul model de cod de conduita.

Codurile de conduita care vor fi adoptate de asociațiile profesionale vor putea fi revizuite periodic, în funcție de modificările și completările legislative aplicabile, precum și de nivelul de dezvoltare tehnologică în domeniul de activitate al fiecărei asociații.

Asociațiile profesionale vor supune codurile de conduita spre avizare autorității de supraveghere.

Cadrul legal al codurilor de conduita

Membrii asociațiilor profesionale, denumiți în continuare membri, recunosc și respecta dreptul la viața intima, familială și privată.

Prelucrarea datelor cu caracter personal de către membri se desfășoară în conformitate cu prevederile legale în vigoare.

Membrii sunt obligați să asigure transparenta prelucrarilor de date cu caracter personal.

Responsabilitatea

Membrii sunt responsabili pentru datele cu caracter personal aflate sub controlul lor, precum și pentru datele transferate către terți.

Fiecare membru va desemna persoanele care vor răspunde pentru respectarea dispozițiilor legale din domeniul protecției persoanelor și a datelor cu caracter personal, precum și a principiilor prevăzute în prezentul model de cod de conduita.

Legitimitatea scopului colectării

Colectarea de date cu caracter personal prin mijloace frauduloase, neloiale sau ilegale este interzisă.

Membrii vor comunică scopurile pentru care sunt colectate datele cu caracter personal fie înainte, fie cel mai târziu la momentul colectării.

Menționarea scopurilor poate fi realizată în scris, oral sau în forma electronică, într-un limbaj ușor accesibil pentru persoanele vizate.

Consimțământul

Consimțământul persoanelor vizate este cerut în cazul prelucrării datelor cu caracter personal, în afară cazurilor în care legea dispune altfel.

Membrii vor folosi orice mijloace nedolosive, care necesita costuri financiare rezonabile, pentru a informa persoanele vizate în legătură cu prelucrarea datelor cu caracter personal și pentru a solicita consimțământul acestora la momentul colectării datelor cu caracter personal.

Persoana vizata își poate retrage consimțământul în orice moment, sub condiția avizării prealabile a operatorului. Acesta va informa persoana vizata în legătură cu procedura și efectele retragerii consimțământului.

Legitimitatea dezvaluirii

Membrii vor prelucra datele cu caracter personal numai pentru scopurile pentru care au fost colectate, cu excepția cazului în care persoana vizata își da consimțământul pentru prelucrarea în alte scopuri sau în alte cazuri permise de lege.

Accesul la datele prelucrate va fi permis numai angajaților membrilor, în îndeplinirea obligațiilor de serviciu.

Legitimitatea stocării

Membrii sunt obligați sa păstreze datele cu caracter personal exacte, complete și actualizate, pentru realizarea scopurilor pentru care sunt utilizate.

Datele inexacte sau incomplete vor fi șterse sau rectificate.

Datele cu caracter personal vor fi păstrate numai pentru perioada necesară atingerii scopurilor stabilite.

Membrii vor adopta reguli speciale în privinta stabilirii perioadei minime și maxime necesare pentru păstrarea datelor colectate, urmărind totodată respectarea drepturilor persoanei vizate, în special a dreptului de acces, de intervenție și de opoziție.

În urma verificărilor periodice datele cu caracter personal deținute de operator, care nu mai servesc realizării scopurilor sau îndeplinirii unor obligații legale, vor fi distruse sau transformate în date anonime într-un interval de timp rezonabil, potrivit procedurilor stabilite de lege sau, în lipsa unor astfel de dispoziții legale, de către membri.

Securitatea prelucrarilor

Strategiile și procedurile folosite de membri în legătură cu procesarea datelor cu caracter personal vor fi puse la dispoziție persoanelor vizate, sub forma de informații furnizate într-un limbaj accesibil, prin mijloace fizice (de exemplu, prin broșuri), telefonice sau electronice.

Membrii vor comunică informații, la cerere, în legătură cu datele cu caracter personal, pe care le prelucreaza, sursele din care au colectat datele cu caracter personal, scopurile prelucrării, dacă și cărui terț i-au fost dezvăluite aceste date, atunci când legea nu interzice.

În cazul în care dezvaluirea datelor este impusa de lege (de exemplu, în vederea executării unei hotărâri judecătorești), membrii se vor asigura ca terțul care solicită dezvaluirea acționează în conformitate cu dispozițiile legale incidente, iar cererea privește numai datele cu caracter personal neexcesive prin raportare la scopul prelucrării. Persoana vizata va fi informată în legătură cu dezvaluirea, numai dacă legea permite.

Aducerea la cunoștința persoanelor vizate a drepturilor de care beneficiază (în special, drepturile prevăzute la

art. 12-15 din Legea nr. 677/2001 ) se poate face prin intermediul unor mențiuni înscrise pe ofertele de produse sau servicii, pe primul document adresat persoanei vizate (de exemplu, factura, borderou de livrare, confirmare de primire etc.), pe prospectele care conțin și chestionare etc.

Dreptul de acces

Membrii vor permite accesul persoanelor vizate la datele cu caracter personal care le privesc, prin cele mai facile mijloace, pe care le pot pune la dispoziție, în mod rezonabil.

Accesul persoanei vizate nu poate fi permis, cu excepția cazurilor prevăzute de lege, în următoarele situații: în cazul în care sunt solicitate date despre o altă persoană; în cazul în care ar putea fi afectate viața și siguranța altei persoane; în cazul în care sunt solicitate date care pot privi informații comerciale confidențiale; în cazul în care s-ar aduce atingere soluționării unui litigiu sau a unui proces penal.

Membrii sunt obligați sa motiveze refuzul de a permite accesul la anumite date cu caracter personal.

Dreptul de intervenție

Persoanele vizate au dreptul de a solicita verificarea exactitatii și a caracterului complet al datelor cu caracter personal care le privesc, precum și de a solicita rectificarea datelor inexacte sau incomplete, prin formularea unor contestații.

Membrii vor păstra o evidenta a contestațiilor privind caracterul exact sau complet al datelor, care nu au fost rezolvate, iar în cazul în care datele vor fi transferate către alți operatori, vor fi precizate datele care au fost rectificate sau în privinta cărora exista contestații nerezolvate.

Dispozițiile alin. (2) se aplică și în cazul dezvaluirii de date către terți, dacă este cazul.

Actualizarea bazelor de date se face prin intermediul informațiilor transmise de persoanele vizate, precum și prin informațiile furnizate de orice sursa externa autorizata de lege.

Dreptul de opoziție

Exercitarea de către persoana vizata a dreptului de opoziție împotriva prelucrării datelor cu caracter personal, în efectuarea operațiunilor de marketing direct, este asigurata prin intermediul formulării unor cereri în acest sens sau prin includerea în listele de opoziție a persoanelor vizate. Persoana vizata va fi încunoștințată de existenta listelor de opoziție, precum și de modalitatea de a solicita includerea în acestea.

Persoanele vizate își pot exercita dreptul de opoziție în orice moment, de preferinta într-un termen rezonabil acordat de operator, fără a se aduce atingere posibilității ca dreptul să fie exercitat și în afară acestui termen.

Listele de opoziție sunt gestionate de asociațiile profesionale.

În cazul prelucrarilor ulterioare, precum și al transferului către alți operatori al datelor cu caracter personal, membrii se vor asigura ca acestea nu privesc date pentru care persoanele vizate au exercitat anterior dreptul de a le fi șterse datele sau dreptul de opoziție la transferul acestora.

Legitimitatea transferului

În cazul transferului de date cu caracter personal către alți operatori, în special în operațiunile de marketing direct, persoanele vizate vor fi informate cu privire la transfer prin înscrierea unor mențiuni pe ofertele de produse sau servicii.

Mențiunile prevăzute la alin. (1) vor cuprinde și specificarea dreptului de opoziție la transferul datelor, precum și metoda prin care persoanele vizate își pot exercita acest drept.

Garanțiile pentru asigurarea protecției datelor cu caracter personal în cadrul transferului de date către alți operatori vor fi prevăzute prin clauze contractuale privind utilizarea acestor date, acolo unde este cazul. Aceste clauze vor menționa, printre altele, drepturile recunoscute persoanelor vizate, precum și faptul ca aceste drepturi pot fi exercitate doar cu respectarea confidențialității anumitor clauze comerciale.

Soluționarea plangerilor

Membrii sunt obligați sa rezolve plangerile și orice alte cereri legate de prelucrarea datelor cu caracter personal, în termenele și condițiile prevăzute de lege.

Procedura de primire, investigare și de soluționare a plangerilor și a celorlalte cereri ale persoanelor vizate va fi stabilită de către membri și va fi adusă la cunoștința persoanelor vizate.

Colaborarea cu autoritatea de supraveghere

Anual sau ori de câte ori se va solicita membrii vor prezenta autorității de supraveghere a prelucrarilor de date cu caracter personal rapoarte sau sinteze cu privire la plângerile primite și la modul de soluționare a acestora.

Rapoartele și sintezele la care se referă alin. (1) vor putea conține și alte informații privind aspecte din activitatea membrilor în domeniul protecției datelor cu caracter personal, precum și propuneri de imbunatatire a activității acestora.

Cheltuielile suportate de către persoanele vizate

Dispozițiile prezentului model de cod de conduita vor fi avute în vedere la adoptarea propriilor coduri de conduita de către asociațiile profesionale care prelucreaza date cu caracter personal.

Normele prezentului model de cod de conduita au caracter de recomandare.

Prezentul model de cod de conduita se completează cu prevederile legale în domeniul protecției datelor cu caracter personal.

Modificarea și completarea modelului de cod de conduita

Membrii asociațiilor profesionale sau persoanele interesate pot propune modificări sau completări ale prezentului model de cod de conduita.

Propunerile la care se referă alin. (1) vor fi trimise, în scris și motivat, autorității de supraveghere.

Autoritatea de supraveghere va lua în considerare numai propunerile pertinente și concludente, în vederea modificării și completării prezentului model de cod de conduita.
──────────────